Configura el motor de políticas con una clave universal

Vista previa

Este producto o esta función se encuentra sujeto a las "Condiciones de la oferta de la fase previa a la DG" en la sección Condiciones del servicio generales de las Condiciones específicas del servicio. Los productos y las funciones de la fase previa a la DG están disponibles “tal como están” y pueden estar sujetos a asistencia limitada. Para obtener más información, consulta las descripciones de la etapa de lanzamiento.

En este documento, se describe cómo puedes configurar Policy Engine en tu sitio web con una clave universal. La clave universal es una nueva clave de Google Cloud Fraud Defense que admite la creación de reglas dentro de Policy Engine.

Con Policy Engine, Fraud Defense puede activar de forma determinista los desafíos de CAPTCHA en función de las reglas de políticas personalizadas que configures. Estas reglas pueden decidir cuándo mostrar un desafío de Fraud Defense en función de las puntuaciones de riesgo, las direcciones IP, los agentes de usuario, los ASN o las identidades de bots verificados (agentes de IA).

La configuración de Policy Engine de Fraud Defense proporciona dos funciones principales:

• Integración de AutoExecute (protected_endpoint_group): Simplifica la integración de JavaScript de frontend mediante la inspección automática de las solicitudes de red asíncronas salientes y la vinculación de tokens de reCAPTCHA a ellas, de modo que solo se necesite una etiqueta de secuencia de comandos en tu frontend.
• Políticas de desafío (challenge_rule_groups): Determina si se debe mostrar un desafío en diferentes acciones del usuario y configura los niveles de dificultad del desafío asociado (USABILITY, BALANCE, SECURITY) con reglas personalizadas basadas en CEL.

Antes de comenzar

1. Prepara tu entorno para reCAPTCHA.

2. Verifica que la facturación esté habilitada para tu Google Cloud proyecto.

   Fraud Defense requiere que la facturación esté vinculada y habilitada en el proyecto para usar Policy Engine. Puedes habilitar la facturación con una tarjeta de crédito o un Google Cloud ID de facturación de proyecto existente. Si necesitas ayuda con la facturación, comunícate con el equipo de asistencia de Facturación de Cloud.

Crea una clave universal

Según tu interfaz preferida, elige la opción adecuada para crear una clave universal:

Console

1. En la Google Cloud consola de, ve a la página reCAPTCHA.

   Ir a reCAPTCHA

2. Verifica que el nombre de tu proyecto aparezca en el selector de recursos en la parte superior de la página.

   Si no ves el nombre de tu proyecto, haz clic en el selector de recursos y, luego, selecciona tu proyecto.

3. Selecciona la pestaña Keys.
4. Haz clic en Crear clave.
5. En el campo Nombre visible, ingresa un nombre visible para la clave.
6. En Tipo de aplicación, selecciona Universal.
7. Haz clic en Crear clave.

La clave recién creada aparece en la página Claves de reCAPTCHA.

gcloud

Para crear una clave universal con Google Cloud CLI, usa el gcloud recaptcha keys create comando con la --universal marca:

gcloud recaptcha keys create --universal --display-name=DISPLAY_NAME

La respuesta contiene la clave universal de reCAPTCHA recién creada.

API de REST

Para crear una clave universal con la API de REST, usa el projects.keys.create método y especifica universalSettings:

POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys

{
  "displayName": "DISPLAY_NAME",
  "universalSettings": {}
}

Reemplaza lo siguiente:

• PROJECT_ID: el ID de tu Google Cloud proyecto
• DISPLAY_NAME: un nombre visible para tu clave, por lo general, el nombre de tu sitio web

La respuesta contiene la clave universal de reCAPTCHA recién creada.

Configura dominios para Policy Engine

Nota: En el caso de los sitios web, la clave de reCAPTCHA es única para los dominios y subdominios que especifiques. Puedes especificar más de un dominio si publicas tu sitio web desde varios dominios. Si especificas un dominio (por ejemplo, examplepetstore.com), no es necesario que especifiques sus subdominios (por ejemplo, subdomain.examplepetstore.com).

Según tu interfaz preferida, elige la opción adecuada para configurar los dominios permitidos para tu clave universal:

Console

1. En la Google Cloud consola de, ve a la página **Fraud Defense**.

   Ir a Fraud Defense

2. Verifica que el nombre de tu proyecto aparezca en el selector de recursos en la parte superior de la página.

   Si no ves el nombre de tu proyecto, haz clic en el selector de recursos y, luego, selecciona tu proyecto.

3. Haz clic en la pestaña Claves de reCAPTCHA.

4. Identifica la clave universal que deseas configurar y haz clic en ella.

5. En la página Detalles de la clave, haz clic en Editar clave.

6. Identifica la sección Configuración de uso de claves.

   Para proteger la clave de reCAPTCHA para tu dominio y subdominios, asegúrate de que la opción Inhabilitar verificación de dominio esté desactivada.

   Inhabilitar la verificación de dominio es un riesgo de seguridad porque no hay restricciones en el sitio, por lo que cualquier persona puede acceder a tu clave de reCAPTCHA y usarla.

   Ingresa el nombre de dominio de tu sitio web:

   1. En la sección Lista de dominios, haz clic en Agregar un dominio.
   2. En el campo Dominio, ingresa el nombre de tu dominio.
   3. Opcional: Para agregar un dominio adicional, haz clic en Agregar un dominio y, luego, ingresa el nombre de otro dominio en el campo Dominio. Puedes agregar hasta 250 dominios.

7. Haz clic en Guardar cambios.

Nota: Para usar una política en más de 250 dominios, haz clic en el botón de activación Inhabilitar verificación de dominio. Cuando la verificación de dominio está inhabilitada, Fraud Defense ignora la lista de dominios y debes realizar la verificación de dominio por tu cuenta examinando el tokenProperties.hostname campo en las evaluaciones que crees.

gcloud

Para actualizar los dominios permitidos para tu clave universal con Google Cloud CLI, usa el gcloud alpha recaptcha policies update comando y especifica los dominios en un archivo de configuración de políticas (por ejemplo, POLICY.yaml):

gcloud alpha recaptcha policies update --key=KEY_ID --policy=POLICY.yaml

Nota: El comando gcloud alpha recaptcha policies update actualiza toda la política. Cualquier protected_endpoint_group o challenge_rule_groups existente debe incluirse en el archivo POLICY.yaml para evitar que se borren.

El archivo POLICY.yaml debe especificar los dominios permitidos en clientSettings:

clientSettings:
  allowedDomains:
    - DOMAIN_NAME_1
    - DOMAIN_NAME_2

Como alternativa, para permitir todos los dominios y, también, inhabilitar la verificación de dominio, establece allowAllDomains en true en tu archivo POLICY.yaml:

clientSettings:
  allowAllDomains: true

Reemplaza lo siguiente:

• KEY_ID: el ID o el nombre completo del recurso de tu clave universal
• DOMAIN_NAME_1, DOMAIN_NAME_2: los nombres de dominio de los sitios web autorizados para usar la clave

Nota: Cuando allowAllDomains se establece en true, Fraud Defense ignora la lista de dominios y debes realizar la verificación de dominio por tu cuenta examinando el tokenProperties.hostname campo en las evaluaciones que crees.

API de REST

Para actualizar los dominios permitidos para tu clave universal con la API de REST, usa el projects.keys.updatePolicy método.

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

• PROJECT_ID: el ID de tu Google Cloud proyecto
• KEY_ID: el ID de tu clave universal
• DOMAIN_NAME_1, DOMAIN_NAME_2: los nombres de dominio de los sitios web autorizados para usar la clave

Método HTTP y URL:

PATCH https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys/KEY_ID/policy?updateMask=clientSettings.allowedDomains,clientSettings.allowAllDomains

Cuerpo JSON de la solicitud:

{
"clientSettings": {
  "allowedDomains": [
    "DOMAIN_NAME_1",
    "DOMAIN_NAME_2"
  ],
  "allowAllDomains": false
}
}

Para enviar tu solicitud, expande una de estas opciones:

curl (Linux, macOS o Cloud Shell)

Nota: Con el siguiente comando, se supone que accediste a gcloud CLI con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login , o a través del uso de Cloud Shell, que accede de forma automática a gcloud CLI . Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

Guarda el cuerpo de la solicitud en un archivo llamado request.json, y ejecuta el siguiente comando:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys/KEY_ID/policy?updateMask=clientSettings.allowedDomains,clientSettings.allowAllDomains"

PowerShell (Windows)

Nota: El siguiente comando supone que accediste a gcloud CLI con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login . Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

Guarda el cuerpo de la solicitud en un archivo llamado request.json, y ejecuta el siguiente comando:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys/KEY_ID/policy?updateMask=clientSettings.allowedDomains,clientSettings.allowAllDomains" | Select-Object -Expand Content

Si la solicitud se realiza correctamente, muestra la configuración de política actualizada.

Nota: Para usar una política en más de 250 dominios, establece allowAllDomains en true en el cuerpo de la solicitud. Cuando allowAllDomains se establece en true, Fraud Defense ignora la lista de dominios y debes realizar la verificación de dominio por tu cuenta examinando el tokenProperties.hostname campo en las evaluaciones que crees.

¿Qué sigue?

• Instala claves universales en páginas web.